Ja, und in diesem Jahr lohnt sich Gründlichkeit besonders.
Das Rezertifizierungsaudit findet vor Ablauf des Zertifikats nach drei Jahren statt und prüft das gesamte ISMS erneut, vergleichbar mit einer Stage 2. Der Auditor betrachtet außerdem, wie sich das System über den Zyklus entwickelt hat: ob Feststellungen geschlossen, Ziele erreicht und alle anwendbaren Maßnahmen vom Auditprogramm abgedeckt wurden.
Zwei Gründe sprechen dann für ein internes Audit über den vollen Scope. Es schließt Lücken, die das Programm gelassen hat, etwa eine Maßnahme, die aus dem zweiten Jahr herausgerutscht und nie auditiert worden ist. Und es gibt dem Auditor der Rezertifizierung einen aktuellen Bericht über das ganze System statt drei Teilberichten unterschiedlichen Alters.
Der Zeitpunkt entspricht den anderen Jahren: sechs bis zehn Wochen vor dem externen Audit, mit der Managementbewertung dazwischen. Rechnen Sie ungefähr mit dem Aufwand Ihres ersten internen Audits, abzüglich der Grundlagen, die bereits stehen.